Análisis forense de redes y memoria

El análisis forense de redes captura y analiza el tráfico de red para reconstruir las comunicaciones de los atacantes, identificar el movimiento lateral y detectar la exfiltración de datos. A diferencia del análisis forense de endpoints, que examina evidencias que pueden haber sido manipuladas en un host comprometido, las evidencias de red son más difíciles de alterar posteriormente: los atacantes no pueden eliminar de forma retroactiva los paquetes que ya haya capturado un sistema de monitorización de flujos o una herramienta de captura de red. El análisis forense de redes complementa al análisis forense de endpoints para proporcionar una visión completa del ataque.

La captura de paquetes (PCAP) registra todo el tráfico de red a nivel de paquete, incluido el contenido completo de la carga útil. Entre las herramientas se incluyen Wireshark (basada en una interfaz gráfica y ampliamente utilizada), tcpdump (de línea de comandos y apta para scripts) y Zeek (antes Bro, genera registros a nivel de protocolo a partir de PCAP). La captura completa de paquetes requiere mucho almacenamiento; las redes de alta velocidad pueden necesitar dispositivos de captura especializados. El análisis de PCAP puede revelar: credenciales en protocolos de texto claro, patrones de beaconing de C2, datos exfiltrados y conexiones de movimiento lateral.

NetFlow (y su equivalente de código abierto IPFIX) registra metadatos sobre las comunicaciones de red sin capturar el contenido de la carga útil: IP de origen y destino, puerto de origen y destino, protocolo, cantidad de bytes, cantidad de paquetes y marcas de tiempo. NetFlow requiere mucho menos almacenamiento que la captura completa mediante PCAP y es adecuado para la conservación a largo plazo (90-365 días). Durante un análisis forense, NetFlow puede identificar: qué sistemas se comunicaron durante el intervalo del incidente, la exfiltración de datos (grandes cantidades de bytes salientes) y el beaconing de C2 (conexiones pequeñas y regulares con IP externas).

Los registros de consultas DNS son una fuente forense muy valiosa porque la mayoría de las comunicaciones de C2 y las descargas de malware requieren resolución DNS. Entre los indicadores de actividad DNS maliciosa se incluyen: consultas a dominios recién registrados o de baja reputación, un volumen elevado de consultas a un solo dominio (malware DGA que prueba muchos nombres generados), el tunneling de DNS (nombres de subdominio inusualmente largos o con alta entropía utilizados para exfiltrar datos) y consultas a dominios asociados con familias de malware conocidas. El DNS suele registrarse incluso cuando la inspección del tráfico HTTP es limitada.

Los canales de comando y control (C2) entre servidores controlados por atacantes y sistemas comprometidos presentan patrones característicos. El beaconing genera conexiones periódicas regulares (por ejemplo, cada 30 segundos) que pueden identificarse en NetFlow como muchos paquetes pequeños dirigidos a la misma IP externa a intervalos regulares. El jitter añade aleatoriedad a los intervalos del beaconing para evadir la detección. Los analistas buscan regularidad estadística en el momento de las conexiones para identificar el beaconing entre el ruido del tráfico web normal.

El análisis forense de la memoria analiza volcados de RAM para extraer evidencias de actividad maliciosa que podrían no estar presentes en el disco. El Volatility Framework (de código abierto) es la herramienta estándar del sector para el análisis de memoria. Sus funciones principales incluyen: enumerar los procesos en ejecución y sus relaciones padre-hijo, identificar código inyectado en procesos legítimos, extraer las conexiones de red abiertas en el momento de la adquisición, recuperar el contenido de las colmenas del registro desde la memoria y extraer las claves de cifrado almacenadas en la RAM.

El malware presente en la memoria muestra patrones específicos que los plugins de Volatility pueden identificar. La inyección de procesos (código inyectado en un proceso legítimo como svchost.exe) aparece como regiones de memoria con permisos de ejecución dentro de un proceso que normalmente no los tendría. Los procesos huecos (contenedores de procesos legítimos cuyo código original ha sido reemplazado por código malicioso) muestran incoherencias entre el nombre del proceso y el código real presente en la memoria. Los rootkits del kernel pueden ocultar procesos de la lista de procesos, pero Volatility puede detectarlos comparando la lista de procesos en ejecución con la lista sin procesar de estructuras de procesos del kernel.

El análisis forense de la memoria es especialmente eficaz para recuperar credenciales. Windows almacena las credenciales en la memoria del proceso LSASS (Local Security Authority Subsystem Service) para permitir el inicio de sesión único. Herramientas como Mimikatz aprovechan esta característica leyendo la memoria de LSASS para extraer contraseñas en texto claro y hashes NTLM. Desde el punto de vista forense, Volatility puede extraer la misma información de un volcado de memoria obtenido para la investigación, lo que revela qué credenciales estaban almacenadas en caché en el sistema comprometido y ayuda a determinar el alcance del posible movimiento lateral.

El análisis forense más eficaz combina evidencias de red y de memoria. La memoria muestra qué procesos estaban en ejecución y qué código contenían; el análisis forense de redes muestra con quién se comunicaban esos procesos. Un proceso visible en el análisis de memoria de Volatility que tenga una conexión de red visible en PCAP, se conecte a un dominio marcado en los registros DNS y corresponda a una IP externa en NetFlow constituye una convergencia que proporciona una atribución de actividad maliciosa con un alto nivel de confianza y respalda una narración completa del ataque.

Las marcas de tiempo precisas son esenciales para correlacionar las evidencias forenses de red y de los endpoints. Si el reloj de un servidor está desfasado 15 minutos con respecto al reloj del firewall, correlacionar los eventos por marca de tiempo produce líneas temporales falsas. La evidencia del análisis forense de redes solo es tan fiable como la sincronización horaria de los dispositivos que generan los registros. Las organizaciones deben configurar un NTP (Network Time Protocol) coherente en todos los dispositivos relevantes para la seguridad y documentar cualquier discrepancia horaria conocida que se descubra durante una investigación.

La mayoría de las comunicaciones C2 modernas utilizan cifrado TLS, lo que impide que los analistas forenses de redes lean directamente el contenido de la carga útil. Sin embargo, incluso el tráfico cifrado revela metadatos: patrones temporales de conexión (beaconing), anomalías en los certificados (certificados autofirmados de la infraestructura del atacante y campos CN que no coinciden), huellas JA3 (identificación de clientes TLS que puede identificar familias específicas de malware independientemente del destino) y características inusuales del handshake TLS. Herramientas como Zeek extraen automáticamente huellas JA3 de las conexiones TLS, lo que permite detectar malware conocido sin descifrar el tráfico.

Compruebe su comprensión de los conceptos de CompTIA Security+ (SY0-701) tratados en esta lección.

En esta lección ha aprendido que: las capturas de paquetes y NetFlow proporcionan evidencias de red complementarias: PCAP muestra el contenido completo, mientras que NetFlow muestra metadatos a escala; el beaconing de C2 aparece como conexiones periódicas regulares que pueden detectarse mediante el análisis estadístico del momento de las conexiones; y Volatility Framework analiza volcados de RAM para detectar inyección de procesos, extraer conexiones de red e identificar malware oculto en procesos legítimos. Enhorabuena por completar los módulos de análisis forense. A continuación se tratan la gestión de riesgos y los marcos de seguridad.